Keine Sicherheit im Internet – It’s NSA-american, stupid!

In dieser Woche wurde in der Presse breit berichtet, dass die National Security Agency (NSA) das Internet weltweit intensiv überwacht und „abhört“. Das ist keine Überraschung. Denn so war es schon immer gewesen, auch vor Obama und auch vor Bush.

It's a prism-thing.

Schon in den 90er Jahren konnte man an deutschen Hochschulen Informatikkurse wie „Sicherheit in verteilten Systemen“ belegen. Thema war, wie man im vom Aufbau her schlicht ungeschützten Internet überhaupt sicher und vor allem abhörsicher agieren könnte. 

"Data Encryption Standard" (Quelle: Wikipedia; Autor: Matt Crypto; Lizenz: public domain)

Alice, Bob, Eve und Mallory dienten dabei als Rollenbeispiele. Alice will Bob eine Nachricht schicken, Eve will sie mitlesen. Mallory ist schlicht bösartig und will die Nachricht löschen oder fälschen. Diese Namen sind Kryptologen weltweit ein Begriff. Die NSA hatte schon immer die Rolle von Eve oder Mallory.

Als Lösung wurden digitale Verschlüsselungs- und Signaturverfahren angedacht und eingeführt, die auf reiner Mathematik beruhen. 

Ein Fundamentalsatz der Arithmetik besagt, dass man alle natürlichen Zahlen als ein Produkt von Primzahlen darstellen kann. 

Wählt man gigantisch große natürliche Zahlen, so ist es theoretisch unglaublich schwierig, deren Primzahlzerlegung durchzuführen. Aus welchen Primzahlen mag sich wohl die Zahl "120988711200000077783011222277755536728829999299299299929" im Produkt zusammensetzen? Man kann bei großen natürlichen Zahlen, die ausgedruckt in keine Bücherwand passen mögen, theoretisch die Primzahlfaktoren nur mit einem gigantischen Rechenaufwand ermitteln. Ab einer bestimmten Größe oder Länge von Zahlen übersteigt der Rechenaufwand dann den aller (zusammengeschalteten) Rechner weltweit. Solche superlangen natürlichen Zahlen oder deren Primzahlfaktoren könnten also theoretisch ideale Schlüssel für eine technische Sicherheit bieten!

Hier kamen nun mathematische Rechenmodelle wie RSA oder triple-DES oder „Pretty Good Privacy“ (PGP) ins Spiel, die Primzahlen als Faktoren für Verschlüsselungs- oder Signaturalgorithmen verwenden. Solche Verfahren gelten vor allem deshalb als „sicher“, weil die mathematisch-wissenschaftliche Welt sie für „sicher“ erklärt. Zumindest um die Jahrtausendwende galt aber der Grundsatz, dass die NSA mehr Kryptologen beschäftigte, als ansonsten überhaupt und insgesamt auf dem Planeten verfügbar waren. Und damals befand sich der Planet noch in der Phase der Microsoft-Welt. Und schon damals wurde gerüchteweise kolportiert, dass eben Microsoft für die NSA eine "Hintertür" bereit hielte.

Sicherheit ist vor diesem Hintergrund immer relativ! Das beste Beispiel? Die Nazis hielten ihr Enigma - System für sicher! Es galt als hochgradig sicher (laut deutscher Verschlüsselungsexperten). Die Wahrscheinlichkeit, das System zu knacken, war berechnet worden. Aber! Die Alliierten hatten einfach mehr intelligente Kryptologen, mehr Geld und bessere Maschinen!

Welcher Bürger möchte heute dem brutalen Potential der Staaten trotzen?

Wahrlich auf der Höhe der Zeit wurde allerdings 1997 in Deutschland ein Signaturgesetz erlassen. Mit typisch deutscher Gründlichkeit war vorher durchdekliniert worden, was geschehen müßte, um rechtsverbindliche Dokumente in digitaler Form digital „unterschreiben“ zu können. Die Problematik wurde juristisch und informationstechnisch bis ins Detail durchdacht und das Ergebnis konnte sich aus gesetzgeberischer und aus technischer Sicht wirklich sehen lassen. Es war klar, dass „sichere Systeme“ nur dann eingesetzt werden konnten, wenn auf Softwareseite vorher sogar die Kernelebene der Betriebssysteme von Bundeseinrichtungen geprüft und zertifiziert worden wäre! Die Schlüssel müßten auf „sicheren“ Chipkarten gespeichert werden. Und die Eingabe der PIN-Nummer hätte nur über externe Eingabesysteme erfolgen dürfen.

Diese juristischen und technischen Vorgaben hätten deutsche Bürger vor dem Zugriff durch amerikanische Behörden schlicht technisch schützen können. Das war aber letztendlich nie gewollt!

Dieses Gesetz war schon aus Sicht eines "möglichen Marktes" schlicht nicht pragmatisch genug ausgelegt worden. Große Firmen wie die Telekom, die Post oder die Bundesdruckerei erwarteten sich neue Geschäftsfelder einer dritten und gigantischen Art. Einspareffekte oder neue Geschäftsideen standen im Fokus.

Das sah man auch auf EU-Ebene so. Und zuviel Sicherheit stört das Abhörgebahren von NSA, BND oder MI-6. Also wurden die Gesetzesvorgaben schrittweise abgeschwächt.

"Echelon Field Station 81" (Quelle: Wikipedia; Autor: Christian M; Lizenz: public domain)

Neue Geschäftsfelder entstanden in Germanskaja nicht wirklich. Die Post versucht es gerade mal wieder mit E-Post, PIN macht das auch. 1&1 und die Telekom investieren ebenfalls.

Wirkliches Geld und Kunden haben immer nur die neuen Firmen aus den USA. Facebook, Google und Konsorten vergessen schlicht die in Deutschland so sehr geschätzte Dokumentenebene. Sie bieten Dienstleistungen und Mehrwert an! Und sie gehen völlig pragmatisch vor und scheren sich einen Dreck um deutsche juristische Überlegungen.

Zudem haben Amerikaner oder Briten und auch Deutsche eine wirklich lange Erfahrung im Abhören. Im Kalten Krieg haben die Amis vor Kamschatka heimlich ein Überseekabel der Sowjets angezapft. In Bad Aibling steht eine Supereinrichtung des Abhörens.

Das Internet bleibt vorerst amerikanisch. Wer zum Westen gehört, der sollte das wissen. Nicht umsonst überwachen Russen oder Chinesen das „freie“, westliche Internet und greifen restriktiv ein.

Letztendlich sollte sich niemand auf Verschlüsselungsalgorithmen verlassen. Wer nur auf die aktuell sichersten Schlüssellängen von 1024, 2048 oder 4096 Bit schaut, der vergißt zudem, dass "alte" einfach in "grauer Vorzeit" von Eve aufgezeichnete (also schlicht kopierte aber nicht gelesene) Nachrichten dann doch stets Jahre später entziffert werden können, wenn eine bessere Rechnerleistung das zwar später aber damit rückwirkend zuläßt. Bei alten Schlüssellängen von 512 Bit ist das heute schon der Fall!

Und mindestens beim Schreiben eines Textes oder einer E-Mail liegt das Exponat der Begierde im Klartext vor. Eine "Ende-zu-Ende-Sicherheit" kann man nur erreichen, wenn man zwei Rechner benutzt! Einer muß vom Internet physikalisch getrennt sein! Auf dem schreibt und verschlüsselt man. Der andere Rechner dient dem Versenden! Nur wie kommt die Nachricht dahin? Vielleicht mit einem Stick? Dann muß man diesen Stick vor und nach JEDEM Gebrauch auf Viren oder Trojaner prüfen! Kaspersky? Kommt aus Rußland!

Dieser Blog mag Ihnen deutsch erscheinen. Der Server "Blogspot" ist aber in Californication angesiedelt. Wie man überhaupt Cloud-Computing als Werkzeug für sein Unternehmen ins Auge fassen kann, das ist mir persönlich nicht nachvollziehbar. 

Mir kann es egal sein, was die NSA hier liest! 

Ich verweise auf den Disclaimer und gebe unter dieser Voraussetzung einen nicht mal ansatzweise ernst gemeinten Tip für einen SoziopathenLink. Natürlich kann man diesen Link nicht beleidigen und ich möchte auch nicht die Autoren dieser Seite als Soziopathen bezeichnen. Eve würde sich irritiert abwenden!